黑客不亲自动手了：AI替他打完全场

2026年秋天，两起相隔万里的攻击，指向同一个事实：网络攻击的'人力密集'时代，正在结束。

一边是韩国多家金融组织被一个纯图钱的攻击团伙攻破——攻击者用开源渗透测试平台 ARTEX 编排多个大语言模型，全程自动化推进，最后数据被拖走。研究者还原现场时，连攻击者留下的操作文件、基础设施配置、甚至给AI写的提示词，都被完整挖了出来。

另一边是酒店业。攻击者不再投递花哨的漏洞利用，而是伪装成愤怒的住客，用'差评投诉'骗过前台员工，把两套用公链寻找C2的木马 EtherRAT 和 TONResolver 送进酒店内网。

一个是AI代理替人打完全场，一个是区块链替人藏好指挥部。看似不相关的两件事，其实是同一条技术曲线的两端：攻击的边际成本，正在以前所未有的速度下坠。

“信源说明：韩国金融业事件引自 GBHackers 对 ARTEX 攻击活动的披露；酒店业事件引自 Cofense 威胁研究团队对差评钓鱼与 EtherRAT/TONResolver 的分析。若链接失效，可按"ARTEX AI agent South Korea financial"和"Cofense EtherRAT TONResolver"检索原文。

🤖 AI代理打全场：韩国金融业的第一课

金句先行：当攻击者开始写提示词，防守者的检测规则就该重写了。

先看韩国这起事件的时间线：

按 GBHackers 披露的信息（原文链接），这是一次以经济利益为动机的定向行动，活跃期在2026年9月底至10月初。攻击的核心组合是：一个开源渗透测试平台，加多个大语言模型。

ARTEX 本身不是恶意软件——它是一个在中国开发者社区诞生的开源渗透测试平台。问题在于，攻击者把它当成了'攻击编排引擎'：平台负责调度扫描、利用、横向移动的流程，大语言模型负责生成变体、解释结果、优化下一步动作。研究者能够还原攻击路径，靠的是攻击方暴露在外的操作文件——里面连基础设施信息和提示词都有。

这件事最值得玩味的，不是'AI能攻击'这个标题党结论，而是暴露文件本身。

过去，应急响应人员还原一次入侵，要靠流量回溯、样本逆向、日志拼图，周期以周计。这一次，攻击者自己的'作战文档'直接摊在了桌上：用什么基础设施、给模型下了什么指令、每个阶段的产出是什么。这说明攻击流程已经标准化到需要写文档管理的程度——换言之，Agentic AI攻击已经从'演示'变成了'流水线'。

为什么盯上金融业？逻辑很直白：数据能变现，监管压力下机构倾向私了，支付意愿高。多位一线从业者私下有共识：金融行业的攻击面（第三方供应商、API、员工身份）远比防火墙拓扑图复杂，而AI代理最擅长的恰恰是在这种碎片化攻击面上'不知疲倦地试'。

产业判断：过去安全团队评估对手，习惯按APT组织的能力画像建模。现在多了一类对手——没有国家级资源、但拥有自动化编排能力的逐利团伙。他们的单点技术未必精，但组合效率和试错速度是人肉团队比不了的。

🧰 开源渗透平台的'双刃剑'时刻

金句先行：每一把开锁工具，都会同时出现在 locksmith 和贼的腰上。

ARTEX 事件把一个老问题重新推上台面：开源安全工具的两用属性。

攻击链的产业分工可以拆成四层：红队和研究者贡献工具与文档 → 开源社区负责分发和迭代 → 大模型降低使用门槛、替代部分专业经验 → 逐利团伙拿来即用，把'授权测试'的免责声明抛在脑后。同一条工具链，喂饱了两个客群。这不是 ARTEX 的原罪——从 Cobalt Strike 到各类开源C2框架，历史一再重演。但Agentic AI把'复用门槛'又降了一档：过去用 Cobalt Strike 至少要懂 Beacon 配置和流量特征，现在攻击者只需要让模型读文档、生成配置、跑流程。

对开源社区，这里有三个现实问题：

第一，免责声明挡不住滥用。几乎所有渗透测试平台都写着'仅用于授权测试'，但这行字对攻击者的约束力约等于零。社区能做的是快速感知滥用信号——比如这类暴露的操作文件，本身就是检测规则的金矿。

第二，武器化速度超过了防御消化速度。一个新平台发布后，红队还没读完文档，攻击者的自动化流程可能已经跑通了。

第三，溯源更难了。开源工具+多模型组合意味着攻击归属的置信度全面下降。'中国开发的开源平台'不等于'中国攻击者'，媒体转述时这一点尤其需要克制——工具产地和攻击者国籍，是两回事。

产业判断：开源安全工具的治理，不能走'一禁了之'的路。更可行的是社区层面的滥用监测（GitHub 上的异常 star 模式、被盗凭证批量调用等），以及安全厂商把主流开源平台的流量特征前置到检测产品里。工具是中性的，但检测规则必须假定最坏用法。

⛓️ 差评投诉当诱饵，公链当指挥所

金句先行：最好的诱饵不是技术漏洞，是人的情绪。

把镜头切到酒店业。 Cofense 观测到一轮针对酒店的钓鱼活动：攻击者伪造住客投诉和负面评价邮件，投递两类木马—— EtherRAT 和 TONResolver。

诱饵设计相当贴合业务：酒店前台的日常，就是处理各种客人投诉。一封'客人威胁要在平台写差评'的邮件，几乎必然被点开、被转发、被附件里的'投诉详情'文档吸引。这是社工的经典操作——不用零日漏洞，用KPI焦虑就够了。

技术上的亮点在C2寻址。两个家族的真正差异不在'用没用公链'，而在用哪条链、怎么读链：

对防守方更有意义的一点是：两条链意味着防守方不能只做单点封堵。封掉一批以太坊 RPC 节点，木马还有 TON 这条退路；反之亦然。检测必须覆盖'终端对多个公链 RPC 端点的异常出站访问'这一行为模式，而不是针对某一条链的域名清单。

传统木马的C2域名是静态的，容易被 Sinkhole 接管或被封禁。而这两家恶意软件把C2地址写在公链上——区块链数据不可篡改、全球可读，攻击者随时把新的C2地址写进链上交易，木马读链就能找到'指挥部'。防守方想封，封的不是域名，是一条公链。

Cofense 以中等置信度评估，这轮活动延续了更早的 Booking.com 主题钓鱼——相似的邮件模板、相同的住宿业目标。也就是说，这不是一次性的钓鱼，而是一条针对酒店业的持续作业线。

为什么是酒店？站在攻击者的视角盘一遍账就清楚了：员工安全意识参差、IT预算有限、但手里握着高价值数据——住客身份信息、支付卡数据、常客账户。历史上多次大型支付卡泄露都发生在酒店和连锁住宿场景。逐利团伙盯上这里，性价比极高。

产业判断：区块链正在从'被攻击的资产'变成'攻击的基础设施'。上一轮讨论是交易所被盗，这一轮是C2寻址。防守产品需要跟进的，是对'木马读链'行为的检测——比如终端侧对链上RPC节点的异常访问。

🛡️ 防守方要改的三个作业

金句先行：对手换了生产方式，防守不能只换口号。

两起事件放在一起，给防守方划出的改动清单其实很具体。

第一，检测Agentic AI攻击，盯'过程'而不是'签名'。 韩国事件里，攻击者暴露的操作文件和提示词，说明这类攻击的每个阶段都有可观测痕迹：异常的自动化扫描节奏、模型API的出站调用、渗透平台特征的流量。SOC的检测工程要从'特征码思维'转向'行为链思维'。攻击者用AI提效，防守方同样可以用AI做行为基线和异常编排识别——这不是买一个'AI安全产品'能解决的，是检测体系的问题。

第二，把开源渗透平台列入自研资产的威胁建模。 如果你的攻防团队在用 ARTEX 或类似平台，默认假设攻击者也在用同一套东西。红队的工具链，就是蓝队最好用的检测输入。据多位在甲方做紫队的朋友反馈，这块的'红蓝工具情报互通'在大多数企业里是断的。

第三，邮件网关的规则，要跟着业务情绪走。 '差评投诉'之所以有效，是因为它嵌进了前台的日常工作流。技术侧要拦附件和链接，管理侧更要给一线员工一个'投诉走系统、不走邮箱附件'的明确通道。链上C2的问题则要求网络出口监控覆盖对公链节点的访问——这一项，目前多数企业的出站策略里是空白。

至于'攻击成本到底降了多少'，公开报告里并没有可引用的量化拆解，与其画一张看似精确实则拍脑袋的饼图，不如记住定性的方向：Agentic AI主要压缩的是人力成本，区块链C2主要压低的是基础设施成本和被发现的风险成本。 两个方向叠加，结论只有一个：攻击者的利润表在改善，防守方的成本曲线必须更陡地往下压，否则攻防的天平会持续倾斜。

小结

韩国金融业被AI代理打穿，酒店业被一条差评钓上钩——两起攻击，一个共同叙事：攻击正在从'手艺活'变成'工程学'。开源渗透平台提供编排，大模型提供智力，公链提供藏身所，攻击者的三大件已经齐了。

对防守方，2027年的考题很清楚：检测体系能不能识别'非人类节奏'的攻击，工具链情报能不能红蓝打通，出站策略能不能覆盖链上通信。

更长远看，这两起事件划出的不只是防守清单，而是一条分界线：当攻击的边际成本趋近于零，'成本优势'不再是防守方可以依赖的护城河，剩下的只有速度和情报。 谁先拿到攻击者暴露的提示词和操作文件，谁先把读链行为写进出站策略，谁就把下一次入侵扼杀在别人的复盘报告里。AI不是安全行业的末日，但它是行业分工重新洗牌的发令枪——先跑通的团队，活下来的概率更大。

原始信源

• 韩国金融业 ARTEX 攻击活动：GBHackers 报道（经济动机定向攻击、暴露的操作文件与提示词）
• 酒店业差评钓鱼与 EtherRAT/TONResolver：Cofense 威胁研究博客（钓鱼诱饵设计、公链C2机制、与 Booking.com 主题活动的中等置信度关联）

（注：以上链接为成文时可获取的公开报道出处；两个家族的链上寻址细节以 Cofense 原始报告为准，本文表格中的对比维度据其公开披露内容归纳，未经独立复现的细节均以中等置信度看待。）